Fiziksel Sosyal Mühendislik: Peşine Takılma ve Yemleme

Tüm saldırılar uzaktan gerçekleşmez. Fiziksel sosyal mühendislik, binalara, sunucu odalarına veya hassas alanlara yetkisiz erişim sağlamak için insanları manipüle etmeyi ve fiziksel güvenlik denetimlerini aşmayı içerir. Sonuçlar ciddi olabilir: bir sunucuya fiziksel erişimi olan saldırgan donanımsal bir tuş kaydedici kurabilir, sürücüleri çalabilir, dahili ağa sahte bir cihaz bağlayabilir veya şifrelenmemiş yedekleme bantlarıyla çıkıp gidebilir. Fiziksel ve mantıksal güvenlik birlikte ele alınmalıdır — kilidi açık bir veri merkezi kapısı, kusursuz bir ağ savunmasını etkisiz hâle getirir.

Tailgating, yetkisiz bir kişinin, yetkili çalışanın bilgisi olmadan, güvenlikli bir kapı kapanmadan önce yetkili çalışanı takip ederek içeri girmesidir. Saldırgan, dikkat çekmemek için kutular taşıyabilir, üniforma giyebilir veya yalnızca oraya aitmiş gibi görünebilir. Piggybacking benzerdir; ancak yetkili kişinin farkındalığı ve (yanlış yönlendirilmiş) onayı vardır — örneğin bir çalışan, kartının hazırlanmasını beklediğini söyleyen bir ziyaretçi için kapıyı açık tutar. Her ikisi de herhangi bir teknik istismara başvurmadan fiziksel erişim denetimlerini aşar. Mantrap'ler, aynı anda yalnızca bir kişinin geçmesini sağlayarak her ikisini de önler.

Baiting, hedeflerin bulacağı yerlere kötü amaçlı fiziksel ortamlar — USB sürücüleri, CD'ler veya SD kartları — bırakarak insanların merakından yararlanır. 2016'da yapılan bir araştırma, kuruluşların otoparklarına bırakılan USB sürücülerinin %48'inin çalışanlar tarafından takıldığını ortaya koymuştur. Merakı artırmak için sürücüler cazip adlarla ('4. Çeyrek Maaşları', 'Project X Gizli' veya şirketin adı) etiketlenebilir. Takıldıklarında kötü amaçlı yazılımı otomatik olarak çalıştırabilir, kimlik bilgilerini ele geçiren sahte bir anket gösterebilir veya uzaktan erişim truva atını sessizce yükleyebilirler. Savunma, katı removable media Policies uygulamak ve autorun'u devre dışı bırakmaktır.

Çöp karıştırma, hassas bilgi bulmak amacıyla atılmış malzemelerin — kâğıt belgeler, sabit diskler, USB sürücüleri, beyaz tahtalar ve yapışkan notlar — aranmasını içerir. Kuruluşlar, organizasyon şemaları, hesap numaraları, ağ diyagramları, kaynak kodu çıktıları ve notlara yazılmış parolalar gibi çok miktarda yararlı bilgiyi çöpe atar. Parçalanmış belgeler ile degauss edilmiş veya yok edilmiş ortamlar bu riski ortadan kaldırır. Security Policies tüm ortam türleri için veri imhasını kapsamalı ve çalışanlar hassas bilgi içeren fiziksel belgelerin geri dönüştürülmek yerine yok edilmesi gerektiğini anlamalıdır.

Shoulder üzerinden bakma, bir kişinin ekranını veya klavyesini gözlemleyerek onun bilgisi olmadan parolalar, PIN'ler ve gizli belgeler gibi hassas bilgileri ele geçirmeyi ifade eder. Bu durum yüz yüze gerçekleşebileceği gibi (havaalanı bekleme salonunda birinin omzunun üzerinden bakmak gibi) gizli kameralar aracılığıyla da gerçekleşebilir. Kahve dükkânları, havaalanları ve açık planlı ofisler gibi insan trafiğinin yoğun olduğu alanlarda Shoulder üzerinden bakma riski oldukça yüksektir. Savunma önlemleri arasında görüş açısını daraltan gizlilik ekranları, ekranı bir süre kullanılmadığında otomatik olarak kilitleyen ekran kilidi Policy'leri, PIN'leri hızlıca girip tuş takımını elle kapatmak ve ekranları herkesin göremeyeceği şekilde konumlandırmak yer alır.

Fiziksel sosyal mühendislik uygulayan saldırganlar, kısıtlı alanlarda bulunmalarını gerekçelendirmek için sıklıkla yetkili kişilerin veya hizmet personelinin kimliğine bürünür. Yaygın kılıklar arasında IT destek teknisyenleri, HVAC/asansör bakım çalışanları, yangın güvenliği denetçileri, teslimat personeli ve bina yönetimi çalışanları bulunur. Üniformalar, klasörler, alet çantaları ve ID kartları (gerçeğe benzeyen sahteleri) gibi aksesuarlar, kimliğe bürünmenin inandırıcılığını büyük ölçüde artırır. Saldırganlar, özellikle kendinden emin ve yetkili bir izlenim veren kişilere çalışanların itiraz etmeyeceği varsayımına güvenir.

Security olayları, sosyal mühendislik için benzersiz fırsatlar oluşturur. Bir yangın tatbikatı veya acil durum sırasında çalışanlar hızla dışarı çıkar ve kapıları açık bırakır; bu da yetkisiz kişilerin başkalarının arkasından geçmesi için ideal bir fırsat yaratır. Büyük bir IT kesintisi sırasında çalışanlar, yardım teklif eden 'destek personeline' özellikle kolayca uyabilir. Saldırganlar kuruluş krizleri (birleşmeler, işten çıkarmalar, veri ihlalleri) hakkında haberleri izler ve sosyal mühendislik kampanyalarını kuruluşun dikkati dağılmış veya baskı altında olduğu zamanlara denk getirir. Görünürdeki acil durumlarda bile Security prosedürleri titizlikle uygulanmalıdır; özellikle de acil durumlar saldırganlar tarafından kasıtlı olarak oluşturulabileceğinden.

Wardriving, kablosuz ağları tararken bir bölgede araçla (veya yürüyerek) dolaşmayı ifade eder. Saldırganlar ağ adlarını, Security ayarlarını ve sinyal gücü örüntülerini not eder. Bu keşif, sonraki saldırılara yön verir: WEP veya açık ağları belirlemek, ikiz saldırılarında kullanılacak SSID adlarını doğrulamak ya da izinsiz erişim noktalarını bulmak gibi. Modern varyantlar arasında warwalking ve warflying (kablosuz adaptör taşıyan dronlar) bulunur. Kablosuz ağların ötesinde fiziksel keşif; planlanan fiziksel ihlal girişiminden önce giriş noktalarının, kart tasarımlarının, sunucu odalarının konumlarının ve Security kameralarının yerleşiminin fotoğraflanmasını da içerebilir.

Clean desk Policy'si, çalışanların çalışma alanlarından kısa süreliğine bile ayrılırken tüm hassas malzemeleri güvenceye almasını gerektirir. Belgeler kilitli çekmecelerde saklanmalı, bilgisayar ekranları kilitlenmeli, beyaz tahtalar silinmeli ve çıkarılabilir ortamlar güvenceye alınmalıdır. Clear screen Policy'si özellikle başında kimse yokken iş istasyonlarının kilitlenmesine odaklanır. Bu Policy'ler hem fırsatçı bilgi hırsızlığını (yoldan geçen birinin gizli bir belgeyi görmesi) hem de ofise sızmış bir saldırganın hedefli fiziksel keşif yapmasını önler. Uyumluluk, düzenli ve önceden duyurulmayan ofis denetimleriyle kontrol edilir.

İnsanlardan oluşan Security görevlileri, başkalarının arkasından geçme ve kimliğe bürünme girişimlerine karşı son savunma hattıdır. Etkili ziyaretçi yönetimi; beklenen tüm ziyaretçilerin önceden kaydedilmesini, varışta fotoğraflı ID doğrulamasını, süre sınırlaması olan belirgin bir ziyaretçi kartı verilmesini ve güvenli alanlarda ziyaretçiye her zaman bir çalışanın eşlik etmesini içerir. Tüm ziyaretler bir erişim kaydına işlenmelidir. Yükleniciler ve üçüncü taraf tedarikçiler için geçmiş kontrolleri yapılmalı; bu kişilere yalnızca işleri için gereken belirli alanlara ve sistemlere erişim verilmeli, iş tamamlandığında erişimleri derhâl kaldırılmalıdır.

Fiziksel Security kontrolleri, red team tatbikatları ve fiziksel sızma testleri aracılığıyla düzenli olarak test edilmelidir. Fiziksel sızma testi uzmanları, saldırganların kullanacağı yöntemlerin aynısını kullanarak tesislere girmeye çalışır: başkalarının arkasından geçme, kimliğe bürünme, kilit açma veya RFID okuyucuları devre dışı bırakma gibi. Sonuçlar çoğu zaman çalışanların ziyaretçilere Policy'nin gerektirdiğinden daha seyrek itiraz ettiğini ya da yan çıkışların sigara içenler tarafından açık bırakıldığını ortaya çıkarır. Bulgular; eğitim güncellemelerine, Policy revizyonlarına ve fiziksel kontrol iyileştirmelerine yön verir. Bir kuruluşun genel Security duruşunu değerlendirirken fiziksel Security testlerini asla atlamayın.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: tailgating ve piggybacking, yetkili kullanıcıları güvenli kapılardan geçerken takip ederek fiziksel erişim sağlar ve güvenlik geçiş kabinleri ile itiraz kültürü sayesinde önlenir; baiting, kötü amaçlı USB sürücüleri veya diğer ortamlarla meraktan yararlanır ve otomatik çalıştırmanın devre dışı bırakılmasıyla ve yetkisiz depolama aygıtlarının engellenmesiyle azaltılır; çöplük karıştırma ve Shoulder üzerinden bakma ise atılmış malzemelerden veya görsel gözlem yoluyla hassas bilgi çıkarır ve parçalama, Clean desk Policy'leri ile gizlilik ekranları kullanılarak azaltılır. Sırada Security farkındalığı eğitimi ve kimlik avına karşı kontrolleri inceleyeceğiz.